Was passiert ist
Am 21. und 24. Juli 2025 schickte der Nationale Verband der Biologenkammern in Italien zwei zertifizierte E-Mails (PEC, die italienische E-Mail mit Zustellnachweis) an eine große Gruppe von Mitgliedern, alle Adressen im Empfängerfeld: jeder sah die der anderen. Eine Biologin beschwerte sich. Der Verband erklärte, es habe sich um einen Versehensfehler gehandelt, und das genutzte PEC-System habe keine Blindkopie zugelassen. Mit Entscheidung Nr. 763 vom 7. Oktober 2026, veröffentlicht am 20. Oktober, verhängte der Garante 2.000 Euro wegen Verstößen gegen Art. 5 und 6 DSGVO und Art. 2-ter des italienischen Datenschutzkodex.
Das Bußgeld ist niedrig, und der Garante begründet es: einmaliger Verstoß aus menschlichem Versehen, nur E-Mail-Adressen und keine besonderen Kategorien, keine Vorverstöße, gute Zusammenarbeit und bereits getroffene Abhilfemaßnahmen. Veröffentlicht wurde die Entscheidung trotzdem, gerade wegen der vielen Empfänger, und ihr Grundsatz gilt für alle.
Warum eine sichtbare Adresse eine Offenlegung ist
Eine personenbezogene E-Mail-Adresse ist ein personenbezogenes Datum. Sie in das Feld „An“ oder „CC“ einer Sammelnachricht zu setzen heißt, sie allen anderen Empfängern offenzulegen, also Dritten. Dafür braucht es eine Rechtsgrundlage und, für eine öffentliche Stelle nach Art. 2-ter des italienischen Kodex, eine Norm, die es vorsieht. Es genügt nicht, dass die Empfänger demselben Beruf angehören, und auch nicht, dass der Versand ein Versehen war: das Versehen erklärt die Schwere, es macht die Verarbeitung nicht rechtmäßig.
- Eine technische Grenze des Werkzeugs ist keine Rechtfertigung: Lässt das System keine Blindkopie zu, muss anders versendet werden.
- Die Alternativen sind einfach: Einzelversand, Serienbrief, eine Versandplattform, ein Verteiler, der die Adressen nicht zeigt.
- Namensadressen wiegen schwerer als Funktionsadressen: vorname.nachname@ verrät die Person, info@ nicht.
- Ein Versand mit offenen Empfängern ist auch eine Verletzung der Vertraulichkeit: als Datenpanne prüfen und dokumentieren, auch wenn keine Meldung nötig ist.
- Die Regel muss aufgeschrieben und geschult werden: Wer Rundschreiben verschickt, ist selten derjenige, der die Datenschutzverfahren geschrieben hat.
Der Test für heute, in jeder Kanzlei und jeder Einrichtung
Lassen Sie sich von der Person, die Sammelnachrichten verschickt, den letzten Versand an mehr als fünf Personen zeigen. Schauen Sie ins Empfängerfeld. Stehen die Adressen offen da, gibt es das Problem schon; stehen sie in Blindkopie, fragen Sie, ob das eine schriftliche Regel ist oder nur die Gewohnheit dieser Person. Stellen Sie dann dieselbe Frage zur zertifizierten oder eingeschriebenen E-Mail, die oft über ein anderes Programm und eine andere Person läuft.
Der Fall betrifft besonders Berufskammern, Vereine, Schulen, Hausverwaltungen und alle, die regelmäßig an eine Liste von Personen schreiben, die sich nicht kennen. Bei diesen Sendungen passiert der Fehler am leichtesten, weil derselbe Vorgang dutzendfach wiederholt wird und ihn irgendwann jemand in Eile erledigt.
In der Mandantenakte genügen drei Zeilen: welches Werkzeug für Sammelnachrichten genutzt wird, ob es das Offenlegen der Adressen verhindert oder vom Absender abhängt, und wann die Versender zuletzt geschult wurden. Lautet die zweite Antwort „hängt vom Absender ab“, gehört genau dorthin die Maßnahme.
Offizielle Quelle:Garante per la protezione dei dati personali — provvedimento n. 763 del 7 ottobre 2026 [doc. web 10309222]Offizielle Quelle:Federprivacy — PEC con gli indirizzi dei destinatari in chiaro: il Garante multa la Federazione degli Ordini dei BiologiSuchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
